Як експортувати журнали з Google SecOps (Chronicle)

Для невеликих, цільових вибірок запустіть пошук UDM та викличте той самий пошук через API Google SecOps, щоб отримати JSON. Для сирих логів в їхньому початковому форматі, API експорту даних копіює логи за певний проміжок часу та тип логів в кошик Cloud Storage, який ви володієте. Експорт з інтерфейсу UI створює файл у форматі таблиці, який LogTotal наразі не читає.

Google SecOps за замовчуванням зберігає рік даних у масштабах Google, і це все частіше є першим місцем, де починають шукати команди безпеки. Prime Core має 20,031 правил виявлення для Google SecOps, пов’язаних з 663 техніками MITRE ATT&CK. Нижче описано, як отримати дані, очистити їх та безкоштовно досліджувати в LogTotal.

Почати безкоштовно

Перед початком

Сирі логи чи події UDM? Google SecOps зберігає обидва: сирі логи як вони були отримані та нормалізовані події UDM. Коли сирі логи є syslog або JSON, вони зазвичай є кращим вхідними даними для LogTotal. JSON UDM також підходить.

Дозволи. Доступ надається через ролі IAM на екземплярі SecOps. Для експорту даних також потрібен дозвіл на створення експортів і кошик, в який обліковий запис служби SecOps може записувати.

Збереження. Стандартне збереження – 12 місяців.

Типи логів. Кожен потік має мітку типу логів, наприклад WINEVTLOG для логів подій Windows. Зверніть увагу на ті, що вам потрібні, перед експортом.

Кроки слідують документації Google, перевіреної в жовтні 2026. Точки кінця відрізняються за регіоном та версією API, тому перевірте їх щодо вашого екземпляра.

Варіант 1: Пошук UDM через API

Спочатку напишіть пошук в інтерфейсі UI, наприклад principal.hostname = “web-03”, і перевірте результати. Потім запускайте його через API з вибором часу:

TOKEN=$(gcloud auth print-access-token)

curl -sS -H "Authorization: Bearer $TOKEN" 
  "https://<region>-chronicle.googleapis.com/v1alpha/projects/<project>/locations/<region>/instances/<instance-id>:udmSearch?query=principal.hostname="web-03"&timeRange.startTime=2026-10-19T00:00:00Z&timeRange.endTime=2026-10-20T00:00:00Z&limit=10000" 
  | jq -c '.events[]' > secops_web03_1019.jsonl

Варіант 2: Сирі логи з API експорту даних

Для більших вікон, або коли ви хочете логи як саме вони надійшли:

1. Створіть кошик Cloud Storage і дайте обліковому запису служби SecOps дозвіл на запис в нього.
2. Створіть експорт даних для вашого вибору часу та типу логів, направляючи на кошик.
3. Провертайте експорт, поки він не закінчиться.
4. Завантажте файли:

gcloud storage cp -r gs://my-secops-export/<export-path>/ ./secops-export/

Файли містять початкові рядки логів для цього типу логів. Розархівуйте їх, якщо потрібно, потім завантажте.

Варіант 3: Експорт логів через інтерфейс Google SecOps

Для швидких розслідувань або менших вибірок логів, ви можете експортувати результати пошуку безпосередньо з інтерфейсу Google SecOps без використання API.

1. Відкрити Пошук. Увійдіть в Google SecOps і перейдіть до Розслідування > Пошук.
2. Запустити пошук. Введіть запит UDM, наприклад principal.hostname = “web-03”, або шукайте сирі логи. Встановіть діапазон часу і натисніть Запустити пошук.
3. Перегляньте результати. Перевірте відповідні події. Для пошуків UDM використовуйте Менеджер колонок, щоб вибрати поля, які ви хочете експортувати.
4. Завантажте логи.
   • Події UDM: У таблиці Події натисніть Завантажити і виберіть Завантажити як CSV. Ви також можете вибрати Завантажити як CSV (з сирими логами) щоб включити початкові записи логів.
   • Сирі логи: У таблиці результатів Сирих Логів натисніть Більше > Завантажити як CSV.
5. Зберегти файл. Google SecOps завантажує результати як файл CSV.

Обмеження. Експорти UI використовують CSV, а не JSON або JSONL, що LogTotal наразі не підтримує. Пошуки сирих логів обмежені 10,000 результатами на запит. Для більших експортів звузьте діапазон часу або використовуйте API експорту даних. Щоб аналізувати експортовані дані у LogTotal, витягуйте початкові записи логів у підтримуваний формат сирих логів або використовуйте описані вище методи експорту через API.

Крок 3: Завантажте, очистіть та перегляньте у LogTotal

1. Завантаження. Відкрити logtotal.com і перетягніть файл.
2. Очистити. 
3. Перегляд. 

Коли все йде не так